Glossaire
Mis à jour
Qu'est-ce qui a remplacé la directive SR 11-7 ?
La directive SR 26-2, révision des lignes directrices sur la gestion du risque de modèle, a été publiée le 17 avril 2026 conjointement par la Réserve fédérale, l'OCC et la FDIC. Elle remplace la directive SR 11-7 d'avril 2011 et la directive SR 21-8 d'avril 2021. Du côté de l'OCC, le Bulletin 2026-13 annule les publications précédentes de l'OCC ainsi que le livret sur la gestion du risque de modèle du Manuel du Contrôleur. Les documents décrivant encore la directive SR 11-7 comme étant la directive en vigueur ne sont plus à jour, ce qui inclut une grande quantité de contenus d'éditeurs et de cabinets de conseil publiés avant le printemps 2026.
À quelles institutions la directive SR 26-2 s'applique-t-elle ?
Les agences précisent que ces lignes directrices s'appliquent principalement aux organisations bancaires dont le total des actifs est supérieur à 30 milliards de dollars américains. Les institutions de taille plus modeste ne sont pas tenues de les appliquer dans leur intégralité, et les directives indiquent explicitement que les pratiques doivent être proportionnelles à la taille, à la complexité et au profil de risque de modèle de l'entreprise. Il s'agit d'un changement d'orientation par rapport à la directive SR 11-7, qui était perçue comme une norme uniforme et qui a suscité de nombreux débats sur la proportionnalité entre les banques et les examinateurs.
La directive SR 26-2 couvre-t-elle l'IA générative et agentique ?
Non, et c'est le détail le plus crucial pour quiconque assure la gouvernance de l'IA moderne. Les agences stipulent que les modèles d'IA générative et d'IA agentique sont novateurs, évoluent rapidement et n'entrent pas dans le champ d'application de ces directives. Une banque déployant un grand modèle de langage ou un agent autonome ne peut pas se référer à la directive SR 26-2 comme norme de contrôle, et ne peut pas présumer que son cadre existant de gestion du risque de modèle couvre ces systèmes. Cette lacune doit être comblée par d'autres référentiels, généralement le cadre de gestion des risques liés à l'IA du NIST (NIST AI Risk Management Framework), la norme ISO/IEC 42001, les directives sectorielles, ainsi que la propre politique de l'entreprise.
Quels en sont les composants essentiels ?
Les lignes directrices conservent la structure que les autorités de contrôle utilisent depuis quinze ans. Les entreprises tiennent un inventaire des modèles assorti d'une attribution de responsabilité et d'une classification par niveau de risque. Le développement et la mise en œuvre sont documentés de manière à ce qu'un tiers puisse comprendre les choix de conception, les données et les limites. La validation est effectuée indépendamment des concepteurs, couvrant la pertinence conceptuelle, le suivi continu et l'analyse des résultats. La gouvernance supervise l'ensemble, avec une politique approuvée par le conseil d'administration, des rôles définis et des rapports destinés à la direction générale. Ce que la directive SR 26-2 apporte en plus, c'est une approche renforcée et basée sur le risque pour déterminer dans quelle mesure appliquer ces principes à un modèle donné.
Quel est le lien avec la gouvernance de l'IA ?
La gestion du risque de modèle et la gouvernance de l'IA se recoupent mais ne sont pas identiques. La gestion du risque de modèle cherche à déterminer si un modèle est adapté à l'usage prévu et si l'entreprise peut le justifier. La gouvernance de l'IA couvre un périmètre plus large : la réception et l'approbation de nouveaux cas d'usage, l'IA tierce et des fournisseurs, le contrôle des actions et des autorisations des agents, la conformité réglementaire par rapport à plusieurs régimes simultanément, et les preuves réutilisables d'un cadre à l'autre. Les entreprises disposant de fonctions matures de gestion du risque de modèle constatent généralement qu'elles possèdent l'expertise de validation nécessaire, mais qu'elles manquent de visibilité globale sur leur inventaire, car l'IA fantôme (shadow AI) et l'IA intégrée par les fournisseurs n'ont jamais été répertoriées dans l'inventaire des modèles.
Exemple
Une banque américaine détenant 60 milliards de dollars d'actifs gère un inventaire de 400 modèles. Conformément à la directive SR 26-2, elle les classe par niveau de risque, applique une validation indépendante complète aux modèles de niveau un utilisés pour le crédit et les fonds propres, et applique un examen proportionné aux autres. Elle identifie ensuite 30 systèmes plus récents qui utilisent des modèles de langage de grande taille pour la synthèse de documents et la correspondance avec les clients. Étant donné que la directive SR 26-2 exclut l'intelligence artificielle générative de son champ d'application, ces systèmes ne peuvent pas simplement être ajoutés à l'inventaire des modèles et validés de la même manière. La banque les gouverne dans le cadre d'une politique d'IA distincte, alignée sur le NIST AI RMF, avec ses propres processus d'intégration, d'évaluation et de surveillance, tout en conservant les deux types de registres dans un système d'enregistrement unique afin que les examinateurs puissent appréhender l'ensemble du parc de modèles.